Google ได้ส่งแพตช์ฉุกเฉินสำหรับช่องโหว่ zero-day ใน Chrome อีกครั้ง และครั้งนี้ถูกนำไปใช้โจมตีผู้ใช้จริงก่อนที่แพตช์จะออกมา ช่องโหว่ที่ติดตามในชื่อ CVE-2026-85046 นี้เป็นบั๊กแบบ type confusion ที่มีความรุนแรงระดับสูง และ Google ยืนยันว่ามีการนำไปโจมตีจริงในโลกออนไลน์ หากคุณกำลังเพิกเฉยต่อการแจ้งเตือนให้อัปเดตเบราว์เซอร์ นี่คือสัปดาห์ที่ควรหยุดเพิกเฉย

เกิดอะไรขึ้นกับ CVE-2026-85046

ตามรายงานจาก BleepingComputer จุดบกพร่องนี้อยู่ในเอ็นจินเรนเดอร์ของ Chrome และเกิดจากปัญหา type confusion ซึ่งเป็นบั๊กประเภทหนึ่งที่เกิดขึ้นเมื่อเบราว์เซอร์ปฏิบัติกับข้อมูลเสมือนเป็นวัตถุประเภทหนึ่งทั้งที่จริงแล้วเป็นอีกประเภทหนึ่ง ความไม่ตรงกันนี้สามารถทำให้ผู้โจมตีทำให้หน่วยความจำเสียหาย และในกรณีที่เลวร้ายที่สุด ก็สามารถรันโค้ดของตนเองบนเครื่องของเหยื่อได้เพียงแค่ทำให้เหยื่อโหลดหน้าเว็บที่เป็นอันตราย

Google แก้ไขปัญหานี้ใน Chrome เวอร์ชัน 152.0.7977.82/.83 สำหรับ Windows และ macOS และ 152.0.7977.82 สำหรับ Linux การอัปเดตนี้ไม่ได้มาคนเดียว Google รวมแพตช์สำหรับปัญหาอื่นอีก 11 รายการไว้ในการเผยแพร่ครั้งเดียวกัน ซึ่งถือเป็นเรื่องปกติสำหรับการอัปเดตช่องทาง stable แต่ช่องโหว่ zero-day นี้สำคัญที่สุดเพราะถูกใช้โจมตีก่อนที่จะมีแพตช์

ตามแนวทางปฏิบัติมาตรฐาน Google ยังไม่เปิดเผยรายละเอียดทางเทคนิคส่วนใหญ่เกี่ยวกับการโจมตีและผู้ที่อยู่เบื้องหลัง นี่คือการตัดสินใจโดยเจตนา: การเผยแพร่รายละเอียดเร็วเกินไปจะเป็นการมอบแผนที่ให้กับผู้ที่ยังไม่ได้อัปเดต และยังหมายความว่าผู้ใช้ส่วนใหญ่จะไม่มีทางรู้ว่าตนเองตกเป็นเป้าหมายหรือไม่ ซึ่งเป็นเหตุผลว่าทำไมการอัปเดตโดยเร็วจึงสำคัญกว่าการรอข้อมูลเพิ่มเติม

ทำไมเรื่องนี้เกิดขึ้นซ้ำแล้วซ้ำเล่า

ช่องโหว่ zero-day ใน Chrome ที่ถูกโจมตีจริงได้กลายเป็นเรื่องที่เกิดขึ้นเป็นประจำมากกว่าเหตุการณ์ที่พบได้ยาก และ CVE-2026-85046 ก็เข้ากับรูปแบบนี้ บั๊กแบบ type confusion และ use-after-free เป็นหนึ่งในหมวดหมู่ที่ทีมรักษาความปลอดภัยของ Google และนักวิจัยภายนอกพบได้บ่อยที่สุด สาเหตุหลักคือเอ็นจินเรนเดอร์ของ Chrome ต้องประมวลผลโค้ดที่ไม่น่าไว้วางใจจำนวนมหาศาลจากเว็บเปิดทุกครั้งที่โหลดหน้าเว็บ ผู้โจมตีที่พบจุดบกพร่องเหล่านี้ก่อน Google สามารถนำไปใช้เป็นอาวุธได้อย่างเงียบๆ มักเจาะกลุ่มเป้าหมายเฉพาะ ก่อนที่การเปิดเผยในวงกว้างจะบังคับให้ต้องออกแพตช์

รายงานก่อนหน้าของเราเกี่ยวกับช่องโหว่เดียวกันนี้ได้อธิบายความเสี่ยงด้านความเป็นส่วนตัวที่เกี่ยวข้องกับ CVE-2026-85046ไว้ในรายละเอียดเพิ่มเติม และควรกลับไปอ่านหากคุณต้องการข้อมูลเชิงเทคนิคที่ลึกขึ้น นอกจากนี้ นี่ไม่ใช่ครั้งแรกในปีนี้ที่ Google ต้องเร่งออกแพตช์ฉุกเฉิน ตามรูปแบบที่คล้ายกันซึ่งกล่าวถึงในรายงานของเราเกี่ยวกับแพตช์ฉุกเฉิน Chrome ก่อนหน้าของ Google

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

สำหรับผู้ใช้ Chrome ทั่วไปส่วนใหญ่ ความเสี่ยงในทางปฏิบัติจากช่องโหว่ zero-day เดี่ยวๆ มักต่ำกว่าที่พาดหัวข่าวสื่อ การโจมตีที่ใช้ประโยชน์จากช่องโหว่ที่เพิ่งค้นพบเช่นนี้มักเป็นการเจาะเป้าหมายมากกว่าการกระจายไปทั่วอินเทอร์เน็ต โดยมักพุ่งเป้าไปที่บุคคลเฉพาะ เช่น นักข่าว นักเคลื่อนไหว หรือผู้ที่อยู่ในบทบาทที่อ่อนไหว อย่างไรก็ตาม เมื่อช่องโหว่กลายเป็นความรู้สาธารณะ ช่องว่างให้ผู้โจมตีฉวยโอกาสสร้างเครื่องมือโจมตีของตนเองจะหดตัวลงอย่างรวดเร็ว ดังนั้นการเลื่อนการอัปเดตจึงเปลี่ยนความเสี่ยงจากวงแคบให้กลายเป็นวงกว้าง

หากคุณใช้ Chrome สำหรับสิ่งใดก็ตามที่เกี่ยวข้องกับการท่องเว็บที่ละเอียดอ่อน ไม่ว่าจะเป็นการทำธุรกรรมธนาคาร อีเมลงาน หรือเพียงแค่เข้าสู่ระบบบัญชีที่คุณต้องการเก็บเป็นส่วนตัว เบราว์เซอร์ที่ไม่ได้รับการอัปเดตคือหนึ่งในจุดเข้าที่ง่ายที่สุดสำหรับผู้ที่พยายามดักจับข้อมูลของคุณ บั๊ก type confusion ที่เปิดทางให้รันโค้ดได้สามารถถูกนำไปใช้ติดตั้งสปายแวร์ ขโมยคุกกี้เซสชัน หรือเข้ายึดบัญชีโดยที่คุณไม่สังเกตเห็นสิ่งผิดปกติบนหน้าจอ

วิธีตรวจสอบและอัปเดต Chrome

โดยปกติ Chrome จะอัปเดตตัวเองโดยอัตโนมัติในเบื้องหลัง แต่แพตช์จะมีผลก็ต่อเมื่อคุณรีสตาร์ทเบราว์เซอร์เท่านั้น หากต้องการยืนยันว่าคุณได้รับการป้องกันแล้ว ให้เปิด Chrome คลิกเมนูสามจุดที่มุมขวาบน แล้วไปที่ช่วยเหลือ จากนั้นเลือกเกี่ยวกับ Google Chrome ซึ่งจะแสดงเวอร์ชันปัจจุบันของคุณและเรียกให้ตรวจสอบการอัปเดตหากยังไม่ได้ติดตั้ง เมื่อเสร็จสิ้น ให้มองหาเลขเวอร์ชันที่กล่าวถึงข้างต้นคือ 152.0.7977.82 หรือ .83 ขึ้นอยู่กับระบบปฏิบัติการของคุณ แล้วรีสตาร์ทเบราว์เซอร์เพื่อให้การอัปเดตสมบูรณ์

คำแนะนำเดียวกันนี้ใช้กับเบราว์เซอร์ที่ใช้ฐาน Chromium ซึ่งสร้างบนเอ็นจินของ Google เนื่องจากหลายตัวสืบทอดโค้ดเรนเดอร์ที่คล้ายกันและอาจได้รับแพตช์ในลักษณะเดียวกันตามกำหนดการเผยแพร่ของตนเอง

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

ตรวจสอบเวอร์ชัน Chrome ของคุณวันนี้และรีสตาร์ทเบราว์เซอร์หากมีการอัปเดตที่รออยู่ แทนที่จะปล่อยทิ้งไว้จนกว่าจะถึงเวลารีสตาร์ทตามกำหนดครั้งถัดไป เปิดการอัปเดตอัตโนมัติหากยังไม่ได้เปิด เพราะการตรวจสอบด้วยตนเองนั้นลืมได้ง่าย ใช้ความระมัดระวังในการคลิกลิงก์ที่ไม่คุ้นเคยหรือเยี่ยมชมเว็บไซต์ที่ไม่รู้จักจนกว่าคุณจะยืนยันว่าเบราว์เซอร์เป็นเวอร์ชันล่าสุดแล้ว เนื่องจากการใช้ประโยชน์จากจุดบกพร่องนี้ไม่ต้องทำอะไรเลยนอกจากการโหลดหน้าที่เป็นอันตราย สุดท้าย จับตาดูการเปิดเผยช่องโหว่ zero-day ใน Chrome ในอนาคต รูปแบบในปีนี้แสดงให้เห็นว่า Google ค้นหาและแก้ไขปัญหาเหล่านี้ได้อย่างรวดเร็ว แต่ความเร็วนั้นจะปกป้องคุณได้ก็ต่อเมื่อคุณติดตั้งการอัปเดตเมื่อมันมาถึงเท่านั้น